npm balíčky @redhat-cloud-services kompromitovány

npm balíčky @redhat-cloud-services byly kompromitovány.

1.6. 22:33 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Max]

Celý npm je taková sračkověc. Počáteční idea možná dobrá, ale když vidím, jak to devíci používají, tak se mi chce blejt.
Zdar Max

[X]

To je ten pravy "dependancy hell".. ;)

[Aleš Kapica]

To víš, někdo to rád horké. Mně se ale po něm nestýská. Svoje poslední fatální „dependency hell provided by RPM” jsem zažil, když se Mandrake ještě jmenoval Mandrake. Pak jsem se kvůli apt4rpm do toho zavrtal trochu víc a přešel na APT, konkrétně Ubuntu Hoary, kde jsem na problémy v závislostech občas narážel, ale jen proto, že jsem ho křížil se Sidem, což bylo v roce 2005. Pak šlo Ubuntu přes palubu a od té doby mám – na svých strojích – klid. Bohužel aktualizace Ubuntu končívají peklem furt.

[Max]

To, co MS nedokázal ve WinXP, dokázali vývojáři s npm :D
BTW, máme jeden poněkud nový (start asi před 8 lety) in-build IS pro jednu dceru a vývojáři si na sebe udělali takový dependency hell, že ten IS se nepohne už nikam. A jak, že to dokázali? Nu, zvolili si .Net Framework 4.5, IIS, entity framework, k tomu přibalili knihovny na frontend pro WebGUI, nějaké knihovny pro grid a další věci a současný stav je, že: security bugy jsou opraveny v novější verzi knihovny, která ale už podporuje jen .net core. Zároveň grid nepodporuje .net core, další knihovna se už nevyvíjí apod. Ve finále to tedy znamená dedikovat dva devíky na rok na přepis do .net core a výměnu nějakých knihoven za jiné.
Dokonalý self dependency lock :DDD
Zdar Max

[Q]

Node (+NPM) je takový maglajz, že ho autor zavrhl a udělal si Deno v Rustu. Je tam propracovaný systém oprávnění, takže např. napadený balíček nemůže získat další oprávnění nad rámec těch, která měl (to stačit samozřejmě nemusí). Aby Deno někdo používal, tak v něm ovšem de-facto reimplementovali Node pro kompatibilitu.

Node je teda takový kretén, že "npm audit fix" klidně navrhne kvůli dvěma medium zranitelnostem, aby se použila knihovna o 10 verzí starší s 99 zranitelnostmi. A občas se zacyklí. V tom je sympatický třeba React.js, který se postupně zbavil závislostí (i dříve míval jen cca 3 a 20 tranzitivně).